Laravel 中使用路由控制权限 (不限于 Laravel,只是一种思想)

Start

权限设计是后台管理很重要的一个功能,所以要好好设计。
PHP 已经有很多这方面的packages了,就不用我们重复造轮子了。当然,如果你愿意可以从头开始~


PS

以前做权限认证的方式有好几种,我说说常用的两种吧!

  1. 每一个页面认证当前需要的权限一次
  2. 在统一的地方(中间件)验证
    先上一下简单的表结构(只保留重要的信息)数据库的模型 ER 图

    (ps:这个设计中,用户不会直接拥有权限,只能通过角色继承权限。有很多packages会提供用户可以直接拥有权限功能)

    Model

    模型关联关系处理:

  3. User 模型
<?php

namespace App\Models;

use Illuminate\Notifications\Notifiable;
use Illuminate\Foundation\Auth\User as Authenticatable;

class User extends Authenticatable
{
    use Notifiable;

    /**
     * The attributes that should be hidden for arrays.
     *
     * @var array
     */
    protected $hidden = [
        'password', 'remember_token',
    ];

    // 用户和角色的模型关联关系
    public function roles()
    {
        return $this->belongsToMany(Role::class);
    }

    /****************************************
    * 封装一个方法方便使用
    * 1. 需要的权限
    * 2. 遍历当期那用户拥有的所有角色
    * 3. 再通过角色判断是否有当前需要的权限
    ****************************************/
    public function hasPermission($permissionName)
    {
        foreach ($this->roles as $role) {
            if ($role->permisssions()->where('name', $permissionName)->exists()) {
                return true;;
            }
        }

        return false;
    }
}
  1. Role 模型
<?php

namespace App\Models;

class Role extends Model
{
    // 用户和角色的模型关联关系
    public function users()
    {
        return $this->belongsToMany(User::class);
    }

    // 角色和权限的模型关联关系
    public function permissions()
    {
        return $this->belongsToMany(Permission::class);
    }
}
  1. Permission 模型
<?php

namespace App\Models;

class Permission extends Model
{
    // 角色和权限的模型关联关系
    public function roles()
    {
        return $this->belongsToMany(Role::class);
    }
}

Database Seed

  • 插入一些记录:
    ########################################
    # users:
    +-------+---------+-----------+
    | id    | name    |  password |
    +-----------------+-----------+
    |   1   |  gps    |  123456   |
    +-----------------+-----------+
    |   2   |  david  |  123456   |
    +-----------------+-----------+
    ########################################
    # roles:
    +-------+---------+
    | id    | name    |
    +-----------------+
    |   1   |  admin  |
    +-----------------+
    ########################################
    # permissions:
    +-------+-----------------+
    | id    |       name      |
    +-------------------------+
    |   1   | create_product  |
    |   2   | delete_product  |
    +-------------------------+
    ########################################
    # role_user (用户 gps 拥有 admin 角色身份)
    +---------+---------+
    | role_id | user_id |
    +---------+---------+
    |   1     |   1     |
    +------------------+
    ########################################
    # permission_role (角色 admin 拥有创建商品和删除商品的权限)
    +---------+---------------+
    | role_id | permission_id |
    +---------+---------------+
    |   1     |      1        |
    |   1     |      2        |
    +-------------------------+

First

第一种大概介绍一下:

<?php

namespace App\Http\Controllers;

use App\Models\Product;

class ProductsController extends Controller
{
    public function store(Request $request)
    {
        // 判断当前登录的用户是否有权限
        if (! $request->user()->hasPermission('create_product')) {
            abort(403);
        }

        // do something

        return back()->with('status', '添加商品成功');
    }

    public function destroy(Product $product)
    {
        // 判断当前登录的用户是否有权限
        if (! $request->user()->hasPermission('delete_product')) {
            abort(403);
        }

        // do something

        return back()->with('status', '删除商品成功');
    }
}

Two

通过上面的代码我们可以看到,即使封装了权限验证的代码,还是要在不同的方法进行验证,而且可扩展性不高,这时候我们只需要在权限表加一个字段,就可以解决问题

1. permissions (加多一个 route 字段, 如果不在 laravel 中使用,可以加一个 url 字段匹配)
+-------+------------------+------+-----+---------+----------------+
| Field | Type             | Null | Key | Default | Extra          |
+-------+------------------+------+-----+---------+----------------+
| id    | int(10) unsigned | NO   | PRI | NULL    | auto_increment |
| name  | varchar(191)     | NO   |     | NULL    |                |
| route | varchar(191)     | NO   |     | NULL    |                |
+-------+------------------+------+-----+---------+----------------+
2. 这时候插入数据的时候,我们只要做好相关的录入
+-------+-----------------+------------------+
| id    |       name      |      route       |
+-------------------------+------------------+
|   1   | create_product  | products.store   |
|   2   | delete_product  | products.destroy |
+-------------------------+------------------+

添加好数据的时候,我们就不用再控制器里验证了,我们只需要新建一个中间件。

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Support\Facades\Route;
use App\Models\Permission;

class PermissionAuth
{
    /**
     * 把这个中间件放入路由组,把需要的验证的路由
     * 放入这个中间组里
     */
    public function handle($request, Closure $next)
    {
        /****************************************
        * 获取当前路由的别名,如果没有返回 null
        * (不在 laravel 中使用时,可以获取当前 url)
        ****************************************/
        $route = Route::currentRouteName();

        // 判断权限表中这条路由是否需要验证
        if ($permission = Permission::where('route', $route)->first()) {
            // 当前用户不拥有这个权限的名字
            if (! auth()->user()->hasPermission($permission->name)) {
                return response()->view('errors.403', ['status' => "权限不足,需要:{$permission->name}权限"]);
            }
        }

        return $next($request);
    }
}

END

如果是在 laravel 中使用,已经有轮子了,请使用 https://github.com/spatie/laravel-permissi...

本作品采用《CC 协议》,转载必须注明作者和本文链接
当神不再是我们的信仰,那么信仰自己吧,努力让自己变好,不辜负自己的信仰!
本帖由系统于 4年前 自动加精
《L05 电商实战》
从零开发一个电商项目,功能包括电商后台、商品 & SKU 管理、购物车、订单管理、支付宝支付、微信支付、订单退款流程、优惠券等
《L04 微信小程序从零到发布》
从小程序个人账户申请开始,带你一步步进行开发一个微信小程序,直到提交微信控制台上线发布。
讨论数量: 9
jaak

嗯。之前做项目也是这样 不过还加了个字段 methods 用来匹配方法 get post put delete 方法

4年前 评论

@jaak 用 URL 的确需要加方法,不过 route 总是唯一的 >_<

4年前 评论

@DavidNineRocRoute::resource('photos', 'PhotoController') 这样的路由定义就对应多种方法,光靠名字是没办法区分的

4年前 评论

@guansixu 路由名字指的是路由别名。所以肯定是唯一的

4年前 评论

很详细~ :+1:

4年前 评论

@dev_liang 是的,不过已经不用 csdn 了

4年前 评论

路由肯定时唯一的,加方法只是更严谨把。不错

3年前 评论

权限控制可以用 PHP-Casbin

支持 Laravel 的扩展Laravel-Authzhttps://github.com/php-casbin/laravel-auth...

支持 rbac、通过地址验证权限、restful、中间件、缓存 等。

3年前 评论

讨论应以学习和精进为目的。请勿发布不友善或者负能量的内容,与人为善,比聪明更重要!